Whistleblowing, che cos’è e come si mette in pratica

Il decreto legislativo 10 marzo 2023 che in Italia regola la normativa sul whistleblowing e con cui è stata data attuazione alla direttiva comunitaria (UE) 2019/1937, si pone il fine di proteggere i soggetti che segnalano violazioni del diritto dell’Unione europea o nazionale che ledono l’interesse pubblico o l’integrità dell’ente pubblico o privato di cui siano venuti a conoscenza nell’ambito del contesto lavorativo. Vediamo i vari aspetti e gli adempimenti che trovano applicazione nel contesto aziendale.

Che cos’è il whistleblowing

In estrema sintesi, con “whistleblowing” si fa riferimento alla segnalazione di illeciti compiuti all’interno di un’organizzazione pubblica o privata ed effettuata da un soggetto al quale il provvedimento intende garantire tanto la riservatezza, quanto la protezione contro eventuali ritorsioni che potrebbe subire in ragione della segnalazione da lui effettuata.

Origine e significato del termine whistleblowing

Tale sintetica descrizione è desumibile anche alla luce di una riflessione meramente terminologica: la parola di origine anglosassone “whistleblowing”, infatti, indica l’azione di “soffiare il fischietto” – “to blow the whistle” – con riferimento al gesto compiuto dall’arbitro quando per segnalare un fallo ferma il gioco, o di un poliziotto che dà l’allarme per fermare un’azione illecita.

L’obiettivo del segnalante (il c.d. “whistleblower”), dunque, è quello di richiamare l’attenzione su una situazione irregolare, ossia su una “violazione” tra quelle specificatamente elencate ex art. 2, comma 1, lett. a) del decreto in parola.

Normativa sul whistleblowing in Italia e UE

Come anticipato, il nostro ordinamento attraverso il “decreto whistleblowing” (D. Lgs. 24/2023) ha recepito la direttiva dell’Unione europea 2019/1937, precedentemente emanata a livello comunitario al fine di stabilire regole per la protezione delle persone che segnalano violazioni di legge e altre condotte illecite, garantendo loro riservatezza e tutela.

La direttiva europea e la sua implementazione

Già la direttiva europea, poi recepita nel nostro ordinamento, fissa quelli che sono gli obiettivi della tutela da assicurare al soggetto segnalante, così sinteticamente riassumibili:

• Riservatezza dell’identità del segnalante e dei soggetti segnalati;
• Divieto di atti ritorsivi nei confronti del whistleblower (come, ad esempio, licenziamenti o demansionamenti);
• Responsabilità di garantire un’analisi accurata e imparziale delle segnalazioni.

Il ruolo del whistleblower nelle organizzazioni

Venendo al ruolo del whistleblower all’interno delle organizzazioni, ossia del soggetto che può effettuare la segnalazione[1], la lettura dell’art. 3, comma 3, del provvedimento restituisce un elenco molto ampio, tale da includere:

• Lavoratori subordinati;
• Lavoratori autonomi;
• Collaboratori, liberi professionisti, consulenti;
• Volontari e tirocinanti, siano essi retribuiti o meno;
• Azionisti, persone con funzione di amministrazione, direzione, controllo, vigilanza o rappresentanza, anche qualora tali funzioni siano esercitate in via di mero fatto.

Il novero dei possibili segnalanti è ancora più ampio alla luce del quarto comma del citato articolo 3, in quanto, oltre a considerare la principale fattispecie nella quale il rapporto giuridico sia in corso, vengono inclusi:

• Rapporti giuridici non ancora iniziati, nel caso in cui le informazioni alla base della segnalazione siano state acquisite durante il processo di selezione o in altre fasi precontrattuali;
• Il periodo di prova;
• Il momento successivo allo scioglimento del rapporto giuridico, se le informazioni sulle violazioni siano state acquisite prima dello scioglimento del rapporto stesso (pensiamo in questo caso, ad esempio, a un soggetto licenziato o in pensione).

Come funziona il whistleblowing in azienda

Il provvedimento, come detto, trova applicazione tanto in ambito pubblico quanto privato. Tuttavia, proprio con riferimento a quest’ultimo, a norma dell’art. 3, comma 1, lett. q) del provvedimento, gli obblighi scattano per:

• Coloro che hanno impiegato, nell’ultimo anno, la media di almeno cinquanta lavoratori subordinati con contratti di lavoro a tempo indeterminato o determinato;
• Coloro che, a prescindere dal raggiungimento della media di cui sopra, rientrano nell’ambito di applicazione degli atti dell’Unione di cui alle parti I.B e II dell’allegato al decreto (cd. settori sensibili: servizi, prodotti e mercati finanziari; prevenzione del riciclaggio di denaro e del finanziamento del terrorismo; sicurezza dei trasporti; tutela dell’ambiente);
• Coloro che, a prescindere dal raggiungimento della media di cui al primo punto dell’elenco, rientrano nell’ambito di applicazione del decreto legislativo 8 giugno 2001, n. 231, e adottano i modelli di organizzazione e gestione ivi previsti.

Tra i vari adempimenti delineati dal decreto è sicuramente centrale quello di attivazione di un canale interno per la ricezione e gestione delle segnalazioni inerenti alla violazione di norme nazionali o comunitarie pregiudizievoli per l’azienda.

A tale fine la normativa non fissa specifiche modalità e, salvo alcuni limiti[2], rimette all’autonomia organizzativa aziendale la scelta della tipologia del canale, che può essere individuato in modalità cartacee o informatiche, scritte od orali.

Passaggi chiave del processo di whistleblowing

L’attivazione del canale deve essere preceduta da una comunicazione alle rappresentanze o alle organizzazioni sindacali di cui all’articolo 51 del decreto legislativo n. 81 del 2015, nonché, in sintesi:

• Dalla redazione di una procedura inerente al funzionamento del canale interno e alle modalità di invio e gestione delle segnalazioni;
• Dalla formalizzazione di apposite nomine per il soggetto o l’ufficio (interno o esterno) adibito alla ricezione e gestione delle segnalazioni fatte pervenire per tramite del canale interno; a ciò deve aggiungersi anche un’attività di formazione specifica sulla materia rivolta a tale/i soggetto/i.
• Da una specifica attività informativa inerente al canale interno, alle procedure e ai presupposti per effettuare le segnalazioni interne o esterne. Ciò può avvenire, ad esempio, attraverso la bacheca o la intranet aziendale. Tuttavia, dato che i soggetti segnalanti – come visto – non si limitano al personale interno (anche un consulente esterno potrebbe essere il whistleblower), si rende opportuno prevedere ulteriori modalità di diffusione delle informazioni, come il sito internet che, se presente, deve contenere una specifica sezione dedicata alla pubblicazione di dette informazioni (cfr. art. 5, comma 1, lett. e) del decreto).
• Laddove presente, aggiornamento del Modello di Organizzazione e Gestione ex D. Lgs. 231/2001.
• Infine, dal momento che la segnalazione contiene i dati del soggetto segnalante (salvo che non sia anonima) e quelli del soggetto segnalato, chi gestisce la segnalazione si trova nella condizione di effettuare un trattamento di dati personali, così come definiti ex art. 4 del regolamento europeo in materia di protezione dei dati personali (Regolamento (UE) 2016/679, anche noto come GDPR). Pertanto è importante dare priorità alla gestione corretta dei dati personali nel processo di whistleblowing perché oltre agli obblighi sopra descritti se ne aggiungono di ulteriori inerenti al tema privacy: redazione di apposito modello di informativa ex art. 13 GDPR per i segnalanti; specifica attività di formazione sulla normativa, nonché formalizzazione di nomine interne o esterne (come autorizzato o responsabile, in base al contesto) per il/i gestore/i del canale; censimento delle attività di trattamento all’interno del registro ex art. 30, comma 1, GDPR; svolgimento di apposita valutazione di impatto (DPIA – Data Protection Impact Assessment) ex art. 35 GDPR.

Ciò, è quanto peraltro previsto esplicitamente dall’art. 13 del decreto whistleblowing.

Procedure interne ed esterne di segnalazione

Mentre il canale di segnalazione – per quanto finora visto – è “interno”, la sua gestione può essere affidata tanto a un soggetto o a un ufficio interno, quanto a figure esterne.

Nel settore privato la scelta del soggetto a cui affidare il ruolo di gestore delle segnalazioni è rimessa all’autonomia organizzativa dell’azienda in considerazione del singolo contesto e in funzione delle diverse caratteristiche di quest’ultimo, quali ad esempio la dimensione aziendale, le risorse da destinarvi, la natura dell’attività esercitata. Il ruolo può essere affidato, ad esempio, agli organi di internal audit, all’Organismo di vigilanza previsto ex D. Lgs. 231/2001, ai comitati etici.

In entrambi i casi resta centrale la redazione di una procedura interna o esterna (a seconda del/dei soggetto/i individuato/i), al fine di fornire istruzioni circa le attività da compiere per il corretto mantenimento del canale e la gestione delle segnalazioni ricevute[3].

Canali di segnalazione: interni vs esterni

I canali di segnalazione nei processi di whistleblowing includono, oltre al canale di segnalazione interno, del quale si è già detto[4], il decreto prevede anche una seconda modalità per effettuare le segnalazioni, ovvero quella del canale “esterno” di segnalazione, messo a disposizione e gestito dall’Autorità Nazionale Anticorruzione (ANAC) (raggiungibile al seguente link).

L’accesso a tale canale da parte del soggetto segnalante è tuttavia subordinato alla necessaria presenza di almeno una delle condizioni indicate all’art. 6 del decreto, ossia:

• Assenza del canale interno, o nel caso in cui questo non funzioni o presenti problemi di conformità (es. criticità connesse alla riservatezza delle segnalazioni);
• Segnalazione già effettuata attraverso il canale interno, ma alla quale non sia stato dato seguito, né riscontro nei termini previsti di cui all’art. 5 del decreto;
• Il segnalante ha fondati motivi di ritenere che, se effettuasse una segnalazione interna, alla stessa non sarebbe dato efficace seguito o ne deriverebbe il rischio di ritorsione;
• Il segnalante ha fondato motivo di ritenere che la violazione possa costituire un pericolo imminente o palese per il pubblico interesse.

Protezione legale per i whistleblower

La tutela per i soggetti segnalanti si snoda in due principali aspetti: quello della riservatezza (assicurato anche nei confronti dei soggetti segnalati o comunque di coloro citati all’interno della segnalazione) e quello del divieto di compiere atti ritorsivi nei loro confronti.

Il primo dei due richiama a sé anche l’applicazione della citata normativa privacy, che si traduce principalmente – oltre all’implementazione degli adempimenti formali più sopra elencati – nel rispetto sostanziale dei principi richiamati agli articoli 5, 24 e 25 del GDPR.

Sotto il profilo della riservatezza, il decreto whistleblowing sottolinea invece il divieto di utilizzare le segnalazioni oltre quanto necessario per dar seguito alle stesse; un tempo di conservazione delle segnalazioni e della relativa documentazione per un tempo non eccedente quanto necessario alla loro trattazione e, comunque, per un massimo di cinque anni dalla data di comunicazione dell’esito finale della procedura di segnalazione. Infine, il divieto di rivelare l’identità del segnalante o altre informazioni da cui possa direttamente o indirettamente evincersi la sua identità senza che vi sia il consenso di quest’ultimo.

Il secondo aspetto, ossia quello del divieto di ritorsioni nei confronti del segnalante, è molto ampio e include “qualsiasi comportamento, atto od omissione, anche solo tentata o minacciata, posto in essere in ragione della segnalazione, divulgazione, denuncia e che provoca o può provocare al segnalante un danno ingiusto, in via diretta o indiretta” (art. 2, comma 1, lett. m) del decreto). Pensiamo, dunque, a mero titolo esemplificativo e non anche esaustivo, al divieto di licenziamento o sospensione; demansionamento; cambiamento di funzioni in senso peggiorativo; misure disciplinari; mancato rinnovo del contratto, e così via.

Come affrontare le ritorsioni

L’accesso al meccanismo di tutela da ritorsioni sopra delineato è consentito solo a due condizioni:

• Che al momento della segnalazione il segnalante avesse fondato motivo di ritenere che le informazioni segnalate fossero vere e rientrassero nell’ambito oggettivo di tutela[5];
• Che la segnalazione fosse correttamente effettuata secondo le modalità e condizioni di accesso alla segnalazione.

È opportuno, inoltre, sottolineare come il sistema di protezione trovi applicazione anche alle seguenti categorie:

• Facilitatori;
• Persone del medesimo contesto lavorativo del segnalante a lui legate da uno stabile legame affettivo o di parentela entro il quarto grado;
• Colleghi di lavoro del segnalante che lavorano nel medesimo contesto lavorativo e che hanno con lui un rapporto abituale e corrente;
• Enti di proprietà del segnalante; enti per i quali quest’ultimo lavora o che operano nel medesimo contesto lavorativo.

Tali soggetti, se presenti le due condizioni sopra descritte, in caso di ritorsione dopo aver segnalato un illecito, possono rivolgersi all’Autorità Nazionale Anticorruzione (ANAC), che – con riferimento al settore privato – informa l’Ispettorato nazionale del lavoro, per i provvedimenti di propria competenza (art. 19, comma 1, del decreto). In base al secondo comma dell’art. 19, inoltre, al fine di acquisire elementi istruttori indispensabili all’accertamento delle ritorsioni, l’ANAC può avvalersi per quanto di rispettiva competenza, della collaborazione dell’Ispettorato  nazionale  del  lavoro,  ferma restando l’esclusiva competenza dell’ANAC in ordine alla  valutazione degli elementi acquisiti e all’eventuale applicazione delle  sanzioni amministrative di cui all’articolo  21 (che vanno da 10mila a 50mila euro in caso di accertamento di ritorsioni).

Vantaggi del whistleblowing per le aziende

I vantaggi per le aziende che hanno implementato un canale di segnalazione interno per la raccolta e gestione delle segnalazioni sono molteplici e tra i principali, troviamo:

• L’individuazione precoce di violazioni normative, che permette all’azienda di prevenire la diffusione di comportamenti illeciti dannosi, tanto sotto il profilo finanziario che reputazionale;
• La segnalazione di irregolarità permette all’azienda di adottare contromisure efficaci per evitare le sanzioni previste dalla legge;
• L’implementazione del whistleblowing in azienda rappresenta un impegno costante da parte di quest’ultima al miglioramento della trasparenza e allo sviluppo del successo dell’organizzazione, rafforzando la cultura etica e la fiducia di dipendenti, clienti e partner.

Come il whistleblowing migliora la trasparenza

Il whistleblowing rappresenta un meccanismo fondamentale ai fini della trasparenza aziendale: la tutela della riservatezza e il divieto di ritorsioni nei confronti del segnalante vanno nella direzione di incentivare una cultura più etica e responsabile, dove i dipendenti (ma, come visto, non solo essi) si sentono liberi di segnalare illeciti senza il timore di conseguenze pregiudizievoli. Ciò aiuta a creare un ambiente di lavoro migliore, in cui la fiducia e la reciproca integrità diventano valori chiave.

Sfide e rischi associati al whistleblowing

Tra le sfide e i rischi associati al whistleblowing, troviamo innanzitutto quello relativo alla corretta gestione del canale interno e degli adempimenti formali ad esso connessi. La risposta sanzionatoria di cui all’art. 21, compresa tra 10mila e 50mila euro, è infatti prevista non solo nel caso di mancanza del canale interno o di accertamento di condotte ritorsive nei confronti del segnalante, bensì anche nel caso in cui – tra gli altri – non siano state adottate procedure per l’effettuazione e la gestione delle segnalazioni, o quando non sia stata svolta l’attività di verifica e analisi delle segnalazioni ricevute.

Una corretta attività informativa all’interno dell’azienda non deve essere vista come mero obbligo formale, ma deve condurre a una seria attività divulgativa col fine di comunicare l’esistenza del canale interno, il suo funzionamento e i relativi meccanismi di tutela. Ciò per far percepire l’esistenza di un sistema di segnalazione equo e riservato, che incoraggi le segnalazioni di violazioni apprese nel contesto lavorativo.

_ Note

[1] In questa prospettiva, l’ambito di applicazione soggettivo descritto è da riferire anche alla figura del “facilitatore”, ovvero della “persona fisica che assiste una persona segnalante nel processo di segnalazione, operante all’interno del medesimo contesto lavorativo e la cui assistenza deve essere mantenuta riservata” (art. 2, comma 1, lett. h), D. Lgs. 24/2023).

[2] L’ANAC, all’interno delle proprie Linee guida approvate con Delibera n° 311 del 12 luglio 2023, ha chiarito come “la posta elettronica ordinaria e la PEC […] siano strumenti non adeguati a garantire la riservatezza” e, come tali, non possano essere utilizzati al fine di raccogliere e gestire le segnalazioni (cfr. parte prima, par. 3.1).

[3] Con riferimento alle attività da svolgere da parte del soggetto gestore del canale di segnalazione interno, si rinvia alla lettura dell’art. 5 del D. Lgs. 24/2023.

[4] Per approfondire il tema del canale di segnalazione interno: www.agendadigitale.eu/documenti/canale-whistleblowing-quale-scegliere-in-azienda-tutte-le-caratteristiche/

[5] Cfr. con la definizione di “violazioni” di cui all’art. 2, comma 1, lett. a) del decreto.